iPhone'da İmzalı VPN Profili mi Kuruyorsunuz? Paket İçeriğini Okuyun

Profiller Ayarlar bölümüne bir ad, bir imzalayan ve bir Yükle düğmesiyle gelir ve çoğu kişinin okuduğu kısım imzalayan satırıdır. O satır tek bir soruyu yanıtlar: imza doğrulama kurallarına göre bu ayarları kim paketledi. Satır, VPN yükünün işvereninizin ağ geçidini gösterdiğini ya da gömülü bir kök sertifikanın TLS güven deponuza ait olduğunu söylemez. Aşağıdaki inceleme, paketi cihazın uygulayacağı sırayla açar.

Zarfla başlayın: bu profili kim imzaladı

iOS'ta profil Ayarlar, Genel, VPN ve Cihaz Yönetimi altında görünür ve imzalayan, Yükle düğmesinin üstünde yazar. Hiçbir şeye dokunmadan önce o adı okuyun ve ayarları ondan almayı beklediğiniz kuruluş olup olmadığını sorun. Tanımadığınız bir tarafın geçerli imzası yine geçerli bir imzadır ve sizin değil onların yapılandırmasını yetkilendirir. Aynı ekran, profilin hiç imzalı olup olmadığını da söyler.

Dosya bir Mac'te duruyorsa telefonunuza ulaşmadan önce inceleyin. Güvenlik aracı CMS zarfını çözer ve cihazın okuyacağı plist dosyasını yazdırır; bu, arada bir Yükle düğmesi olmadan aynı içeriktir. Apple'ın yapılandırma zorlaması belgeleri imzalamayı kaynak doğrulaması olarak tanımlar; bu da tam olarak burada anlatılan kapsamdır.

security cms -D -i corp-vpn.mobileconfig -o corp-vpn.plist
plutil -p corp-vpn.plist

İmzalayan beklediğiniz kişi değilse ya da dosya imzasızsa ve onu doğrulayamayacak bir kanaldan geldiyse burada durun. Bu incelemenin sonraki hiçbir adımı güvenilmeyen bir zarfı güvenilir hâle getirmez.

Her yükü açın ve ne kurduğunu adlandırın

Profil bir kaptır ve ilginç kısım içindeki PayloadContent dizisidir. Her girdi, cihazın ne kuracağını söyleyen bir PayloadType taşır: yönetilen bir VPN yapılandırması, bir PKCS#12 kimliği, bir kök sertifika veya bir yönetim kaydı. Herhangi bir ayarı okumadan önce türleri yazdırın.

plutil -extract PayloadContent xml1 -o - corp-vpn.plist |
  grep -E 'PayloadType|PayloadDisplayName'

Bir VPN yükü bir bağlantıyı adlandırır: sunucu adresi, kimlik doğrulama yöntemi ve muhtemelen uygulama başına ya da isteğe bağlı bir kural. Bir kimlik yükü, o bağlantının sunacağı istemci kimlik bilgisini sağlar. Bir kök sertifika yükü bir güven çapası ekler, bir yönetim yükü ise süregelen denetimi bir sunucuya devreder. Bunlar dört ayrı taahhüttür ve imza, her birini ayrı ayrı garanti etmek yerine paketin tamamını kapsar. Onları bu sırayla okuyun, çünkü VPN kimlik olmadan işe yaramaz, kimlik de kimin verdiğini bilmeden pek bir anlam taşımaz.

Dosyadaki parola koruması yine ayrı bir özelliktir. Şifreli bir paket, içeriği parolası olmayan birinden saklar; içindekileri onaylamanız gerekip gerekmediğine karar vermez. Parolayı bir inceleme değil, bir teslim yöntemi olarak görün.

Sertifikaları, onları kullanan bağlantıya kadar izleyin

Paketteki sertifikaları listeleyin ve her birini bir işe eşleyin. İstemci sertifikası bu cihazı ağ geçidine tanıtır, onu veren CA o bağlantının güven zincirine aittir ve bir proxy ya da iç hizmet için kurulan kök, otomatik olarak her HTTPS sitesinin çapası değildir. iOS'ta elle kurulan bir kök, Ayarlar, Hakkında, Sertifika Güven Ayarları altında etkinleştirene kadar TLS için güvenilmez kalır; yönetim yoluyla gelen kök ise bu adım olmadan güvenilir sayılır. Bu fark, yükün amacının neden önemli olduğunu tam olarak açıklar.

openssl pkcs7 -inform DER -in corp-vpn.mobileconfig -print_certs -noout
security find-certificate -a -c "Corp Root" -p | openssl x509 -noout -subject -dates

Trafiğinizi taşıyan bir sağlayıcı, bu nedenle ziyaret ettiğiniz her sitenin TLS uç noktası değildir. Araya girme, trafik yolunu ve uygulamanın kabul ettiği bir güven çapasını gerektirir; tek sertifika taşıyan bir profil ikisini de kanıtlamaz. Profili kurmanın her şeyi çözeceğini varsaymak yerine, sertifikayı hangi bağlantının kullandığını ve hangi uygulamaların kabul edeceğini sorun.

Kurulumdan sonra: doğrulayın ve kaldırmanın ne yaptığını bilin

Profil kurulduktan sonra indirdiğiniz dosyadan değil, cihazın kendisinden doğrulayın. Ayarlar ekranı kurulu profili, imzalayanı ve yüklerini listeler; VPN ekranı ise bağlantının istendiği gibi yapılandırılıp yapılandırılmadığını gösterir. İndirilen dosyayı silmek hiçbir şeyi kaldırmaz; kurulu yapılandırma ayrı bir nesnedir.

profiles show -type configuration
scutil --nc list

Profil bir yönetim kaydı içeriyorsa, kaldırmanın sonuçlarını kurulumdan sonra değil önce okuyun. O kaydı kaldırmak, ilişkili yapılandırmalarını da götürür ve cihazın nasıl kaydedildiğine bağlı olarak yönetilen uygulamaları kaldırabilir. Bu, bir sertifika yanlış göründüğünde denenecek bir onarım adımı değildir. Bir şeyi kaldırmadan önce yöneticiye sorunun hangi yüke ait olduğunu sorun.

İnceleme dört ayrı yanıtla biter: paketi kim imzaladı, hangi yükleri kuruyor, her bağlantı hangi kimliği ve güveni kullanıyor ve kaldırma beraberinde neyi götürür. Bunları ayrı tutarsanız imzalı bir profil, yeşil bir onay işareti yerine gözden geçirilmiş bir karar hâline gelir.